Startede om et lovforslag til ændring af loven "Om information, informationsteknologier og beskyttelse af information", udarbejdet af Ministeriet for Digital Udvikling, Kommunikation og Massekommunikation. Loven foreslår at indføre et forbud mod brugen af "krypteringsprotokoller, der gør det muligt at skjule navnet (identifikatoren) på en internet-side eller et websted i internettet, med undtagelse af de tilfælde, som er fastsat i lovgivningen i Den Russiske Føderation."
For overtrædelse af forbuddet mod brug af krypteringsprotokoller, der muliggør skjulning af webstedets navn, foreslås det at suspendere funktionen af internetressourcen senest 1 (én) arbejdsdag fra opdagelsen af denne overtrædelse af det kompetente føderale organ for den udøvende magt. Hovedformålet med blokeringen er TLS-udvidelsen (tidligere kendt som ESNI), som kan anvendes sammen med TLS 1.3 og allerede i Kina. Da formuleringerne i lovforslaget er uklare og der mangler konkrete detaljer, kan næsten alle protokoller, der sikrer fuld kryptering af kommunikationskanalen, formelt falde ind under blokeringen, herunder protokoller (DoH) og (DoT).
Vi minder om, at der tidligere blev udviklet en SNI-udvidelse for at muliggøre drift af flere HTTPS-websteder på én IP-adresse, som sender værtens navn i klar tekst i ClientHello-beskeden, der sendes før etablering af den krypterede kommunikationskanal. En sådan funktion gør det muligt for internetudbyderen selektivt at filtrere HTTPS-trafik og analysere, hvilke websteder brugeren åbner, hvilket ikke muliggør fuld fortrolighed, når der anvendes HTTPS.
ECH/ESNI helt udelukker lækage af oplysninger om den anmodede side ved analyse af HTTPS-forbindelser. Sammen med anvendelsen af et indholdleveringsnetværk gør implementeringen af ECH/ESNI det også muligt at skjule den anmodede ressource fra udbyderen og IP-adressen — trafikinspektionssystemer ser kun anmodninger til CDN og kan ikke blokere uden at forfalske TLS-sessionen, hvori browseren vil vise en tilsvarende meddelelse om certifikatforfalskningen. I tilfælde af et forbud mod ECH/ESNI for at modvirke en sådan mulighed, vil komplet begrænsning af adgang til indholdleveringsnetværk (CDN), der understøtter ECH/ESNI, kun kunne hjælpe; ellers vil blokeringen være ineffektiv og let kunne omgås ved hjælp af CDN.
Når ECH/ESNI anvendes, overføres værtens navn, ligesom i SNI, i ClientHello-beskeden, men indholdet af de data, der sendes i denne besked, er krypteret. Krypteringen bruger en hemmelighed beregnet på baggrund af serverens og klientens nøgler. For at dekryptere den opfangede eller modtagne værdi af ECH/ESNI-feltet er det nødvendigt at kende den private nøgle fra klienten eller serveren (plus de offentlige nøgler fra serveren eller klienten). Oplysninger om de offentlige nøgler overføres for servernøglen i DNS, og for klientnøglen i ClientHello-beskeden. Dekryptering er også mulig ved hjælp af den fælles hemmelighed, der er aftalt under etableringen af TLS-forbindelsen, som kun er kendt af klienten og serveren.
Kilde: opennet.ru
